И методология защиты информации

13.3. Финансовые ресурсы 
Практическая работа по проектированию, созданию и сопровождению 
системы защиты информации невозможна без экономического обоснова-
ния затрат на их реализацию. Является фактом, что данная работа осуще-
ствляется в сложных условиях, при этом факторами сложности являются: 
конкуренция в области безопасности (часто недобросовестная), желание 
Подрядчика получить большую выгоду с минимальными затратами, нека-
чественное выполнение работ по безопасности и другие. 
Показателем зрелости руководства хозяйствующего субъекта по отно-
шению к вопросам безопасности является проведение сравнительного ана-
лиза затрат, понесенных хозяйствующим субъектом на обеспечение безо-
пасности в сравнении с эффектом (техническим, экономическим, органи-
зационным и прочим), полученным от реализации мероприятий безопас-
ности. Таким образом, необходимым процессом в современной управлен-
ческой деятельности является оценка эффективности и оптимизация затрат 
на реализацию мероприятий по защите информации. 
По оценкам экспертов, для обеспечения своей информационной безо-
пасности организация должна иметь специальное структурное подразделе-
ние по обеспечению информационной безопасности и в среднем ежеме-
сячно затрачивать на обеспечение его функционирования 15–20 % от по-
лучаемой ежемесячно прибыли. 
Систематические затраты на обслуживание системы безопасности (за-
траты на предупредительные мероприятия) можно разбить на следующие 
группы: 
1. Управление системой защиты информации: 
 затраты на планирование системы защиты информации предприятия;
 затраты на изучение возможностей информационной инфраструкту-
ры предприятия по обеспечению безопасности информации ограниченного 
распространения; 

---

98
 затраты на осуществление технической поддержки производственно-
го персонала при внедрении средств защиты и процедур, а также планов 
по защите информации; 
 проверка сотрудников на лояльность, выявление угроз безопасности;
 организация системы допуска исполнителей и сотрудников конфи-
денциального делопроизводства с соответствующими штатами и оргтех-
никой.
2. Регламентное обслуживание средств защиты информации: 
 затраты, связанные с обслуживанием и настройкой программно-
технических средств защиты, операционных систем и используемого сете-
вого оборудования; 
 затраты, связанные с организацией сетевого взаимодействия и безо-
пасного использования информационных систем; 
 затраты на поддержание системы резервного копирования и ведение 
архива данных; 
 проведение инженерно-технических работ по установлению сигна-
лизации, оборудованию хранилищ конфиденциальных документов, защите 
телефонных линий связи, средств вычислительной техники и другого обо-
рудования.
3. Аудит системы безопасности: 
 затраты на контроль изменений состояния информационной среды 
предприятия; 
 затраты на систему контроля за действиями исполнителей.
4. Обеспечение должного качества информационных технологий: 
 затраты на обеспечение соответствия требованиям качества инфор-
мационных технологий, в том числе анализ возможных негативных аспек-
тов информационных технологий, которые влияют на целостность и дос-
тупность информации; 
 затраты на доставку (обмен) конфиденциальной информации; 
 удовлетворение субъективных требований пользователей: стиль, 
удобство интерфейсов и др.
5. Обеспечение требований стандартов: 
 Затраты на обеспечение соответствия принятым стандартам и требо-
ваниям, достоверности информации, эффективности средств защиты.
6. Обучение персонала: 
 повышение квалификации сотрудников предприятия в вопросах ис-
пользования имеющихся средств защиты, выявления и предотвращения 
угроз безопасности; 
 развитие нормативной базы службы безопасности.
7. Затраты на контроль: 
 плановые проверки и испытания; 

---

99
 затраты на проверки и испытания программно-технических средств 
защиты информации; 
 затраты на проверку навыков эксплуатации средств защиты персона-
лом предприятия; 
 затраты на обеспечение работы лиц, ответственных за реализацию 
конкретных процедур безопасности по подразделениям; 
 оплата работ по контролю правильности ввода данных в прикладные 
системы; 
 оплата инспекторов по контролю требований, предъявляемых к за-
щитным средствам при разработке любых систем (контроль выполняется 
на стадии проектирования и спецификации требований).
8. Внеплановые проверки и испытания: 
 оплата работы испытательного персонала специализированных орга-
низаций; 
 обеспечение испытательного персонала (внутреннего и внешнего) 
материально-техническими средствами.
9. Контроль за соблюдением политики ИБ: 
 затраты на контроль реализации функций, обеспечивающих управ-
ление защитой коммерческой тайны; 
 затраты на организацию временного взаимодействия и координации 
между подразделениями для решения повседневных конкретных задач; 
 затраты на проведение аудита безопасности по каждой автоматизи-
рованной информационной системе, выделенной в информационной среде 
предприятия; 
 материально-техническое обеспечение системы контроля доступа к 
объектам и ресурсам предприятия.
10. Затраты на внешний аудит: 
 затраты на контрольно-проверочные мероприятия, связанные с ли-
цензионно-разрешительной деятельностью в сфере защиты информации.
11. Пересмотр политики информационной безопасности предприятия 
(проводится периодически): 
 затраты на идентификацию угроз безопасности; 
 затраты на поиск уязвимостей системы защиты информации; 
 оплата работы специалистов-аналитиков, выполняющих работы по 
определению возможного ущерба и переоценке степени риска.
12. Затраты на ликвидацию последствий нарушения режима ИБ: 
 восстановление системы безопасности до соответствия требованиям 
политики безопасности; 
 установка последних версий программных средств защиты инфор-
мации; 
 приобретение технических средств, взамен пришедших в негод-
ность; 

---

100
 проведение дополнительных испытаний и проверок технологических 
информационных систем; 
 затраты на утилизацию скомпрометированных ресурсов.
13. Восстановление информационных ресурсов предприятия: 
 затраты на восстановление баз данных и прочих информационных 
массивов; 
 затраты на проведение мероприятий по контролю достоверности 
данных, подвергшихся атаке на целостность.
14. Затраты на выявление причин нарушения политики безопасности: 
 затраты на проведение расследований нарушений политики безопас-
ности (сбор данных о способах совершения, механизме и способах сокры-
тия неправомерного деяния, поиск следов, орудий и предметов посяга-
тельства; выявление мотивов неправомерных действий и др.); 
 затраты на обновление планов обеспечения непрерывности деятель-
ности службы безопасности.
15. Затраты на переделки: 
 Затраты на внедрение дополнительных средств защиты, требующих 
существенной перестройки системы безопасности; 
 Затраты на повторные проверки и испытания системы защиты ин-
формации.
16. Внешние затраты на ликвидацию последствий нарушения политики 
безопасности: 
 обязательства перед государством и партнерами; 
 затраты на юридические споры и выплаты компенсаций; 
 потери в результате разрыва деловых отношений с партнерами.
17. Потеря новаторства: 
 затраты на проведение дополнительных исследований и разработки 
новой рыночной стратегии; 
 отказ от организационных, научно-технических или коммерческих 
решений, ставших неэффективными в результате утечки сведений и затра-
ты на разработку новых средств ведения конкурентной борьбы; 
 потери от снижения приоритета в научных исследованиях и невоз-
можности патентования и продажи лицензий на научно-технические дос-
тижения.
18. Прочие затраты: 
 заработная плата секретарей и служащих, организационные и прочие 
расходы, которые непосредственно связаны с предупредительными меро-
приятиями;
 другие виды возможного ущерба предприятию, в том числе связан-
ные с невозможностью выполнения функциональных задач, определенных 
его Уставом.

---

101
Ответственность за сбор и анализ информации по затратам на инфор-
мационную безопасность несут экономический отдел и служба безопасно-
сти предприятия. 
В настоящее время российскими производителями разработано про-
граммное обеспечение по управлению обеспечением (в том числе, финан-
совым) информационной безопасности: программные комплексы компа-
нии Digital Security, Программный комплекс Гриф, Система Кондор, Спе-
циализированная сметная программа «X-Link» и др.